Producto(s) afectado(s):
| Producto | Versiones afectadas |
| SonicOS Gen7 — TZ, NSa, NSsp y NSv | 7.3.3-7015 y anteriores |
| SonicOS Gen8 — TZ, NSa y NSv | 8.2.2-8015 y anteriores |
Solo afecta si SAML está habilitado para los logins SSLVPN; incluye NSv en ESX, KVM, Hyper-V, AWS y Azure.
Descripción
Se ha publicado una vulnerabilidad de aplicación de autenticación en el servicio SSLVPN de SonicWall SonicOS, identificada como CVE-2026-19868 (CWE-308, uso de autenticación de un solo factor). El proveedor le asigna CVSS 7.1, alta. SonicOS es el sistema operativo de los firewalls SonicWall y su servicio SSLVPN permite acceso remoto a la red interna.
La falla solo afecta cuando SAML está habilitado para los logins SSLVPN. Un usuario con credenciales válidas de un método de autenticación alternativo puede eludir los controles SAML y el MFA que SAML impone. El proveedor no especifica qué métodos alternativos califican. No permite ejecutar código remotamente, no elude la autenticación sin credenciales ni concede acceso de administración del firewall.
El riesgo es que el MFA vía SAML, que suele mitigar el robo de contraseñas, deja de proteger el acceso VPN si el atacante dispone de credenciales válidas de otro método de autenticación.
El proveedor indicó que investigó un reporte de posible explotación e insta a actualizar cuanto antes. CISA añadió CVE-2026-19868 a su catálogo de vulnerabilidades explotadas conocidas el 06/11/2026, con base en evidencia de explotación activa. No se identificó una prueba de concepto pública en las fuentes consultadas y EPSS aún no está disponible. No hay atribución pública a actores ni confirmación de uso en campañas de ransomware.
Mitigación
El proveedor no ofrece una solución alternativa temporal. Se recomienda priorizar la actualización de los firewalls con SSLVPN expuesto y SAML habilitado para los logins SSLVPN. Mientras se aplica el parche, como medidas generales:
- Revisar qué cuentas pueden autenticarse en SSLVPN por métodos distintos de SAML y restringir esos métodos donde sea posible. Esto no sustituye la actualización ni constituye una solución oficial a la falla.
- Revisar los logins SSLVPN recientes en busca de accesos exitosos que no pasaron por SAML/MFA, direcciones IP o ubicaciones inusuales y accesos de cuentas que normalmente utilizan SAML.
- Si hay indicios, tratarlo como un posible compromiso de credenciales: rotar contraseñas, revocar sesiones e investigar la actividad posterior en la red interna.
El proveedor y CISA no publicaron indicadores de compromiso oficiales, hashes, direcciones IP, nombres de log ni firmas específicas para esta vulnerabilidad. La revisión de accesos es una recomendación general, no una detección concluyente.
Solución
Actualizar SonicOS a las siguientes versiones corregidas o posteriores:
- Gen7: 7.3.4-7013 o posterior.
- Gen8: 8.2.3-8015 o posterior.
Verificar el build exacto instalado; no basta con comprobar únicamente 7.3.4 u 8.2.3. La actualización cierra la falla, pero no revierte accesos ya obtenidos.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014
Información adicional:
- SonicWall — SNWLID-2026-0014:
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 - CVE — CVE-2026-19868:
https://www.cve.org/CVERecord?id=CVE-2026-19868 - NVD — CVE-2026-19868:
https://nvd.nist.gov/vuln/detail/CVE-2026-19868 - CISA — catálogo de vulnerabilidades explotadas conocidas:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-19868 - CISA — alerta del 06/11/2026:
https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalog